Tankbook

Политика конфиденциальности

Tankbook – это журнал автомобильных расходов, который работает с вашими данными на вашем телефоне. Эта политика написана по тому, как приложение ведёт себя на самом деле: каждое утверждение ниже верно для Tankbook уже сегодня.

Коротко

  • Tankbook полностью работает без аккаунта. База данных на вашем телефоне – главная копия ваших данных.
  • Вход необязателен. Он нужен только для синхронизации между вашими устройствами, восстановления на новом телефоне и облачного распознавания для сложных сканов.
  • Мы никогда не пишем в журналы ваши данные – суммы, заправки, заметки, координаты, полезные нагрузки, токены, изображения – ни на каком уровне, ни в каких сборках.
  • Изображения, отправленные в облачное распознавание, обрабатываются на лету и не сохраняются.
  • Одно сознательное исключение: разбор чужих файлов при импорте. Загруженный файл и результат разбора хранятся 30 дней, затем удаляются. Аккаунт не нужен.
  • Удаление аккаунта – это «надгробие»: ваши другие устройства узнают об этом при следующей синхронизации, а журнал на вашем телефоне остаётся на вашем телефоне.
  • Экспорт всегда бесплатный, в CSV или JSON. Никакой рекламы и никакой серверной аналитики.
  • Этот сайт не ставит cookie и не пользуется сторонней аналитикой.

Аккаунт не нужен

Tankbook устроен локально-первым. Съёмка, ручной ввод, расчёт расхода, напоминания, мультивалютные записи и экспорт работают совсем без аккаунта, и ни один экран не ждёт сервера. Журнал – это база данных на вашем телефоне, и именно она, а не наш сервер, – главная копия ваших данных. Если завтра наши серверы исчезнут, приложение продолжит работать.

Если вы входите в аккаунт

Вход (Sign in with Apple или Google) необязателен и включает три вещи: синхронизацию между вашими устройствами, восстановление на новом телефоне и облачное распознавание – запасной путь для сканов, которые встроенный распознаватель не осилил.

Когда вы входите, мы храним:

  • идентификатор вашего аккаунта;
  • ваш email – как нейтральный адрес для восстановления;
  • синхронизируемый поток записей – ваши записи и приложенные к ним файлы.

Соединение всегда шифруется (TLS), а хранимые данные зашифрованы на стороне хранилища. Сквозного шифрования у нас нет: в первой версии наш сервер технически может читать синхронизируемые данные, которые хранит. Мы говорим это прямо, а не создаём впечатление большего. Наша сдержанность в отношении ваших данных держится не на криптографии, а на минимуме сбора: никакой аналитики по содержимому, никаких профилей, никаких вычислений над вашими записями, кроме как отдать их вашим же устройствам.

Что мы никогда не пишем в журналы

В наших журналах никогда не бывает ваших данных. Суммы, заправки, заметки, координаты, полезные нагрузки, токены и изображения не попадают ни в одну строку журнала – ни в разработке, ни в эксплуатации, ни на каком уровне, ни в каких сборках. В журналах бывают только идентификаторы, счётчики, коды, длительности и имена полей: достаточно, чтобы разобраться в сбое, и ничего, что описывало бы ваши поездки или траты.

Распознавание

Чтение чека, табло колонки или скриншота зарядки происходит сначала на вашем телефоне: встроенный распознаватель – основной путь, и он работает офлайн. Если скан слишком трудный, приложение может обратиться к нашему облачному распознаванию. Изображение передаётся по TLS, уменьшается и сжимается ещё на устройстве, обрабатывается на нашем сервере на лету и не сохраняется – нигде: ни на диск, ни в хранилище. Облако возвращает значения полей с оценками уверенности и никаких суждений о ваших данных.

Единственное исключение: разбор файлов при импорте

Импорт из другого приложения – например, CSV из My Fuel Manager – единственный случай, когда файл покидает устройство без аккаунта. Файл загружается на наш сервер, тот разбирает его и возвращает строки-кандидаты на ваш просмотр; сервер ничего не записывает в ваш журнал, записи появляются только после того, как вы их просмотрите и подтвердите.

В отличие от всего остального, что мы получаем, загруженный файл и результат его разбора хранятся – сознательно – 30 дней: столько же, сколько «надгробия» и отмена в приложении. Это нужно, чтобы прерванный просмотр можно было продолжить, а неудачный разбор – повторно изучить. Через 30 дней файл и результат удаляются. Аккаунт не нужен, и о содержимом ничего не записывается в журналы: только форма – имя формата, число строк, число ошибок.

Удаление аккаунта

Вы удаляете аккаунт из приложения. Удаление – это «надгробие»: аккаунт помечается удалённым, ваши другие устройства узнают об этом при следующей синхронизации (сервер отвечает им кодом HTTP 410, и они прекращают синхронизацию), а по истечении льготного периода – по умолчанию 30 дней, тот же срок, что у отмены в приложении, – наша копия ваших записей и файлов удаляется.

Журнал на вашем телефоне не затрагивается. Удаление аккаунта убирает копию на нашем сервере, а не данные на вашем устройстве. Если хотите убрать и локальную копию – удалите приложение, предварительно сделав экспорт (из настроек, всегда бесплатно), если данные нужны.

Экспорт

Экспорт всегда бесплатный: CSV или JSON, все поля, сколько угодно раз. За доступ к собственным данным платы нет – и не будет.

Никакой рекламы, никакой аналитики

В приложении нет рекламы и аналитических SDK. Мы не ведём серверную аналитику и не анализируем содержимое: ничто не вычисляет ничего по вашим записям, кроме как отдаёт их вам же.

Этот сайт

Этот сайт не ставит cookie и не пользуется сторонней аналитикой. Если это когда-нибудь изменится, эта страница изменится вместе с ними.

Связаться

Вопросы по этой политике: to@belyaev.live.